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(57) Abstract 



The electronic control unit has a first hardware module (2) fitted with a microcomputer (3) 
that operates with a software program. A bus system (4) having at least one address bus (6), one 
data bus (5) and one control bus (7) is likewise mounted on a mother board of the first hardware 
module (2). The electronic control unit has at least one second hardware module (8, 9), which 
can be connected to the first hardware module (2) using a detachable electrical connection (10, 
II). At least one of the second hardware modules (8, 9) is preferably designed as a data carrier 
card in PCB format and contains electronic storage elements (12, 13, 14, 15, 16). When the 
two hardware modules (2, 8, 9) are connected together the storage elements (12, 13. 14, 15, 
16) of at least one of the second hardware modules (8, 9) are connected directly to the bus 
system (4) of the first hardware module (2). The storage elements (12, 13) of at least one of 
the second hardware modules (8, 9) contain the entire software program for the microcomputer 
(3). This has the advantage that, if the control unit fails, the first hardware module (2) is simply 
replaced and operation may continue with at least one of the second hardware modules (8, 9) 
of the control unit that contains the software. In this way control function is maintained with 
absolutely the same program code and absolutely the same operating data. 
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(57) Zusammenfassung 

Das elektronische SteuergerSt wcist einen ersten Hardwareblock (2) auf, der mit einem Mikrorechner (3) besrtickt 1st, welcher 
zusammen mit einem Softwareprogramm arbeitet. Ein Bussystem (4) mit mindestcns einem Adressbus (6), einem Datenbus (5) und 
einem Steuerbus (7) ist ebenfalls auf einer Grundplatinc des ersten Hardwareblocks (2) vorhanden. Im weiteren weist das elektronische 
Steuergerat mmdestens einen zweiten Hardwareblock (8, 9) auf, der uber eine losbare elektrische Verbindung (10, 1 1) mit dem ersten 
Hardwareblock (2) zusammenschaltbar ist. Der mindestens eine zweite Hardwareblock (8, 9) ist vorzugsweise als Datentragerkarte im PC- 
Kartenformat ausgebildet und enthait elektronische Speicherelemente (12, 13, 14, 15, 16). Im zusammengeschalteten Zustand der beiden 
Hardwareblocks (2, 8, 9) sind die Speicherelemente (12, 13, 14, 15, 16) des mindestens einen zweiten Hardwareblocks (8, 9) unmittelbar 
an das Bussystem (4) des ersten Hardwareblocks (2) geschaltet. Das gesamte Softwareprogramm fur den Mikrorechner (3) ist vollstandig 
in den Speicherelementen (12. 13) des mindestens einen zweiten Hardwareblocks (8, 9) enthalten. Dies bringt den Vorteil dass im Falle 
eines Versagens des Steuergerates der erste Hardwareblock (2) einfach ausgetauscht und mit dem mindestens einen zweiten Hardwareblock 
(8, 9) des Steuergerates, das die Software enthait, weiter betrieben werden kann. Damit lauft die Steuerung mit dem absolut eleichen 
Programmcode und den absolut gleichen Betriebsdaten weiter. 
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ELEKTRONISCHES STEUERGERAT MIT AN DEN BUS GESCHALTETEN, LOSBAREN SPEICHERELE- 
MENTEN, DIE DAS GESAMTE S0FTWAREPROGRAMM ENTHALTEN 

Die vorliegende Erfindung betrrfft ein elektronisches Steuergerat mit 
einem ersten Hardwareblock mit einem Mikrorechner, der zusammen mit einem 
Softwareprogramm arbeitet mit einem Bussystem mit mindestens einem 
5 Adressbus, einem Datenbus und einem Steuerbus. 

In vielen Anwendungen in der Industrie werden elektronische Steu- 
ergerate mit integrierter Hardware und Software eingesetzt. Dabei ist es oft so, 
dass vom Lieferanten die Hardware und eine Basissoftware zum Betrieb eines 
Gerates geliefert werden. Die Hardware kann dabei beispielsweise ein Perso- 

10 nalcomputer oder ein Kompaktrechner sein. Der Anwender wird in vielen Fallen 
den Rechner durch eigene Software erganzen. Diese Erganzung kann aus 
einfachen Parametem bis hin zu ganzen Softwareteilen bestehen, die noch vor 
Inbetriebnahrne des Steuergerates dazugefugt werden. Parameter konnen aber 
auch wahrend dem Betrieb eingegeben bzw. verandert oder angepasst wer- 

15 den. 

Als Anwendungsbeispiele fur elektronische Steuergerate konnen 
Roboter, Dosiersysteme, Bearbeitungs-, Handlings- oder Reinigungs- und Ste- 
rilisationsmaschinen genannt werden. Bekannte Steuergerate werden als fer- 
tige Hardware in die obengenannten Gerate eingesetzt. Der Anwender muss 

20 dann die gewiinschten Ablaufe mittels einer vom Hersteller kreierten Metaspra- 
che, mittels dynamisch linkbaren Bibliotheken (DLL's) oder mit einem 
Mensch/Maschinen-lnterface selbst programmieren bzw. konfigurieren. Bei 
grosseren Systemen fuhrt dies dazu, dass fur die Inbetriebnahrne des Steuer- 
gerates mehrere Arbeitsgange notwendig sind, urn das System hochzufahren. 

25 So mussen beispielsweise Initialisierungsdateien erstellt werden und es muss 
ein Setup mit Parametereinstellungen erfolgen. Wenn in einem solchen System 
im Steuergerat ein Defekt auftritt sind oft mehrere Stunden notwendig, um das 
System nach der Reparatur des Steuergerates wieder hochzufahren. Samtliche 
Einstellungen mussen wieder neu vorgenommen werden. Bei einem auf einem 

30 Personalcomputer basierenden System sind zwar die Parameter meist auf Da- 
teien noch vorhanden. Unter Umstanden mussen auch wieder umfangreiche 
Tests durchgefuhrt werden, um sicherzustellen, dass das System wieder ein- 
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wandfrei funktioniert. Oft ist es so, dass bei einem neuen Steuergerat z.B. ein 
neueres Bios installiert ist, das sich plotzlich mit der vorhandenen Software 
nicht Oder schlecht vertragt. Es konnen so plotzlich Betriebssystem-Anwen- 
dersoftware-Konflikte entstehen. 

5 Besonders gravierend wird der Ausfall eines Steuergerates in vali- 

dierungspflichtigen Umgebungen der Pharma- und Lebensmittelindustrie. Hier 
muss der Anwender eines computergesteuerten Systems garantieren konnen, 
dass ein repariertes Steuergerat mit exakt den zum Zeitpunkt der Validierung 
eingestellten Parametern wieder in Betrieb genommen wird. Dies kann nur ga- 
io rantiert werden, wenn sowohl die Herstellersoftware wie auch die Parameter 
identisch sind. Bei langeren Installationsprozeduren, z.B. auf Personalcompu- 
tern, kann dies aufwendig werden, da bei der Durchfuhrung der Installation 
Fehler auftreten konnen, die die Funktionalitat der Software so beeinflussen, 
dass sie eben noch lauft, aber nicht genau so, wie sie miisste. Dies z.B. darum, 
weil ein Parameter nicht angepasst worden ist oder eben weil Betriebssystem- 
und Softwarekomponenten plotzlich nicht mehr zusammenpassen. Solche 
Fehler konnen nurdurch umfangreiche Tests gefunden werden. In gewissen 
Fallen kann sogar eine neue Validierung notwendig werden. Eine solche kann 
unter Umstanden aber mehrere Mannwochen in Anspruch nehmen. 



15 



20 



Urn ein solches kompliziertes System hochzufahren, ist ein Spezialist 
notig, der einerseits das System genau kennt und andererseits uber die nc-tigen 
Kenntnisse iiber das Steuergerat verfugt. Bei ortlich weit auseinanderliegenden 
Systemen kann die Wartung sehr teuer werden, wenn dafiir ein Spezialist an- 
reisen muss. 

25 Es ist deshalb die Aufgabe der vorliegenden Erfindung, ein elektroni- 

sches Steuergerat derart zu verbessern. dass die vorgenannten Nachteile nicht 
mehr auftreten. Insbesondere soli es nicht mehr notwendig sein, nach einem 
Steuergeratwechsel irgendweiche Validierungs- oder Einstellarbeiten am neuen 
Steuergerat vorzunehmen. 



30 



Erfindungsgemass wird diese Aufgabe dadurch gelost, dass bei ei- 
nem elektronischen Steuergerat der eingangs genannten Art mindestens ein 
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zweiter Hardwareblock vorhanden ist, der uber eine ibsbare elektrische Verbin- 
dung mit dem ersten Hardwareblock zusarnmenschaltbar ist, dass der minde- 
stens eine zweite Hardwareblock elektronische Speicherelemente enthalt, wo- 
bei im zusammengeschalteten Zustand der beiden Hardwareblocks die Spei- 
5 cherelemente des mindestens einen zweiten Hardwareblocks unmittelbar an 
das Bussystem des ersten Hardwareblocks geschaltet sind und dass das ge- 
samte Softwareprogramm fur den Mikrorechner vollstandig in den Speichere- 
lementen des mindestens einen zweiten Hardwareblocks enthalten ist. 

Vorzugsweise sind die Hardwareblocks derart gestaltet, dass der 
10 erste Hardwareblock im wesentlichen speicherelementlos aufgebaut ist und die 
Speicherelemente vollstandig in dem mindestens einen der zweiten Hardwa- 
reblocks untergebracht sind. Dies bedeutet, dass nicht nur das Softwarepro- 
gramm zum Aufstarten (Booten), sondern samtliche Rechnersoftware in dem 
mindestens einen zweiten Hardwareblock in den dortigen Speicherelementen 
1 5 abgespeichert ist. 

Dies bringt den Vorteil, dass im Falle eines Versagens des erfin- 
dungsgemassen Steuergerates der erste Hardwareblock einfach ausgetauscht 
und mit dem mindestens einen zweiten Hardwareblock des atten Steuergera- 
tes, der die Software enthalt, weiter betrieben werden kann. Damit lauft die 
20 neue Steuerung mit dem absolut gleichen Programmcode und den absolut 
gleichen Betriebsdaten weiter. 

Dieses Vorgehen kann angewendet werden, wenn davon ausge- 
gangen werden kann, dass der Oder die zweiten Hardwareblocks noch in ein- 
wandfreiem Zustand sind und keine korrupten Daten enthalten. Urn auch einen 

25 Defekt im zweiten Hardwareblock, der das Bootprogramm und andere Software 
enthalt, abzusichern, kann zur Laufzeit des Steuergerates ein zweiter weiterer 
Hardwareblock mit Speicherelementen eingesetzt werden, auf welchen Online 
oder mit einer Zeitaufnahme samtliche Software und Daten der Speicherele- 
mente des mindestens einen zweiten Hardwareblocks als Backup gesichert 

30 werden. Mit der Moglichkeit, auf dem zweiten zweiten Hardwareblock ein 

Backup zu erstellen, ergibt sich ebenfalls ein einfaches Cloning zur Anfertigung 
von sich identisch verhaltenden Steuerungen. Vorzugsweise ist deshalb vorge- 
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sehen, dass auf dem zweiten zweiten Hardwareblock Backupblock ein soge- 
nannter Clon mittels einer Steuertaste im Steuergerat erstellt werden kann Ein 
solcher geclonter Hardwareblock kann dann zum Betrieb einer neuen identi- 
schen Steuerung benutzt werden, ohne dass dazu Installationsarbeiten, wie 
i Initialisierungen, Parametersetzen, etc., notwendig werden. 

Um den korrekten Betrieb des erfindungsgemassen Steuergerates 
mit zweiten Hardwareblocks zu gewahrleisten, sind spezielle Sicherheitsme- 
chanismen vorgesehen. Diese miissen sicherstellen, dass nur vom zweiten 
Hardwareblock mit gultigen Online- und Programmdaten gebootet werden 
kann. Bei einem nicht erfolgreichen Wechsel eines zweiten Hardwareblocks 
wird das Steuergerat je bei einem Datendefekt entweder gar nicht gestartet 
Oder nur das Programm neu aufgestartet, ohne die im betreffenden zweiten 
Hardwareblock noch vorhandenen Daten fur die weitere Abarbeitung des Pro- 
grammes zu akzeptieren. Im ietzteren Fall wird z.B. dem Bediener eine ent- 
sprechende Meldung ausgegeben. Alle speziellen Einstellungen und die An- 
wenderprogramme sowie allfallige Parameter miissen in einem solchen Fall 
neu installiert werden Oder es muss, wenn man dies verhindern will, mit dem 
zweiten Hardwareblock mit dem Backup weitergearbeitet werden. 

Bevorzugte Ausfiihrungen des Steuergerates des ersten Hard- 
wareblockes oder des mindestens einen Hardwareblocks sind in den abhangi- 
gen Patentanspruchen aufgefuhrt. 

Die zweiten Hardwareblocks entsprechen vorzugsweise den bekann- 
ten PC-Karten (PCMCIA). Der erste Hardwareblock ist in einem Gehause aus 
Aluminium eingebaut und ist von diesem moglichst rundum geschlossen Dies 
nicht zuletzt. um EMV-Probleme bereits im Keime zu ersticken. Eine flache 
Frontplatine aus Aluminium dient als Montageplatte. Zur vollstandigen Umhul- 
lung des ersten Hardwareblocks kann von hinten eine Aluminiumabdeckung an 
die Frontplatine montiert sein. 

Ein Mensch/Maschinen-lnterface besteht aus einem Anzeigeele- 
ment, vorzugsweise einem LC-Display mit Hintergrundbeleuchtung. aus einem 
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Trackpad zum Bewegen eines Mauszeigers auf dem LC-Display und aus eini- 
gen Steuer- und Bedienungstasten. 

In LC-Anzeigen werden als Hintergrundbeleuchtung Kaltkathoden- 
rohren verwendet. Da solche Rohren eine relativ kurze Lebensdauer haben, 
5 wird die Hintergrundbeleuchtung des LC-Displays durch einen Naherungsschal- 
ter Oder Bewegungsmelder, der auf der Frontplatine vorhanden ist, gesteuert. 
Nur bei der unmittelbaren Anwesenheit einer Person vor dem Steuergerat wird 
die Hintergrundbeleuchtung des LC-Displays eingeschaltet. 

Anstelle eines LC-Displays und des Trackpads kann ebenfalls ein 
10 Touchscreen verwendet werden, bei dem zum Auslosen einer Funktion ein 
bestimmter, entsprechend gekennzeichneter Bereich der Screenoberflache 
vom Bediener des Steuergerates beruhrt wird. 

Urn einen Datenaustausch mit einem dritten Hardwareblock zu er- 
mbgiichen, kann auf der Frontplatine vorzugsweise ein Infrarotinterface ange- 
is ordnet sein. Mit diesem ist ein kontaktloses Ubertragen von Daten von und zu 
dem dritten Hardwareblock bestimmt Der dritte Hardwareblock kann beispiels- 
weise eine Tastatur mit einem entsprechenden Infrarotinterface sein Anstelle 
des Infrarotinterfaces kann naturlich auch ein Stecker vorgesehen sein, wobei 
im letzteren Fall eine kontaktlose Datenubertragung nicht mehr gegeben ist. 

20 Fur jeden zweiten Hardwareblock, d.h. fur jede PC-Karte, ist im Ge- 

hause, das den ersten Hardwareblock umgibt, eine Offnung vorhanden, durch 
welche ein entsprechender zweiter Hardwareblock steckmassig mit dem ersten 
Hardwareblock verbunden werden kann. 

Die vorgenannten speziellen Sicherheitsmechanismen umfassen im 
25 ersten Hardwareblock einen Paritygenerator zum Erzeugen eines Paritybits pro 
Byte Oder pro Word, welches Paritybit fur jedes Datenbyte oder jedes Daten- 
word bzw. jedes Programmword, das im mindestens einen zweiten Hardwa- 
reblock vorhanden ist, dort in einem speziellen Speicherbereich gespeichert 
wird. 
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Ein weiterer Sicherheitsmechanismus umfasst das richtige Funktio- 
nieren, insbesondere der Speisespannungsversorgung des oder der zweiten 
Hardwareblocks bzw. der PC-Karten und einen Uberwachungsstromkreis, ob 
eine PC-Karte zu irgend einem Zeitpunkt, egal ob das Steuergerat ein- oder 
5 ausgeschattet ist, ausgewechselt worden ist. 

Ein drifter Sicherheitsmechanismus umfasst Identifikationsstrom- 
kreise, die Identifikationsdaten der entsprechenden Hardwareblocks oder ent- 
sprechenden, in Hardwareblocks eingebauten entfernbaren oder steckbaren 
Baugruppen enthalten. Mit den Identifikationsdaten kann mittels Software fest- 
10 gestellt werden, ob die gesamte Hardware richtig aufgebaut ist und die einzel- 
nen Baugruppen oder Hardwareblocks zusammen und zur Software passen. 

Eine detailliertere Beschreibung der hier nur kurz erwahnten Sicher- 
heitsmechanismen erfolgt weiter hinten anlasslich der Beschreibung eines be- 
vorzugten Ausfuhrungsbeispieles fur ein erfindungsgemasses Steuergerat. 

is Ein solches wird beispielsweise nachstehend anhand von Figuren 

naher beschrieben. Es zeigen 

Fig. 1 die Aussenansicht eines elektronischen Steuergerates in einer 
isometrischen Darstellung, 

Fig. 2 ein Blockschaltbild des Steuergerates gemass der Fig. 1, 

20 Fig. 3 ein Blockschaltbild, das die Zusammenschaltung mehrerer 

Steuergerate gemass der Fig. 1 zu einem Multiprozessorsystem zeigt, 

Fig. 4 ein Flussdiagramm, den Ablauf eines ersten Schrittes zum 
Aufstarten des Steuergerates darstellend, und 

Fig. 5 ein Flussdiagramm, einen zweiten Schritt zum Aufstarten des 
25 Steuergerates darstellend. 
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In der Fig. 1 ist die Aussenansicht eines erfindungsgemassen elek- 
tronischen Steuergerates 1 gezeigt. Dieses ist von einem metallenen, rundum 
geschlossenen Gehause 18, vorzugsweise aus Aluminium, umgeben. Das 
metallene Gehause 18 dient dazu, urn EMV-Probleme im Keime zu ersticken. 
5 Eine kostensparende, flache Frontplatine 19, ebenfalls aus Aluminium, dient als 
Montageplatte. Auf der Frontplatine 19 ist im wesentlichen das Mensch/Ma- 
schinen-lnterface aufgebaut. Dieses besteht aus einem Anzeigeelement 25, 
das entweder ein LC-Display, vorzugsweise ein farbiges LC-Display sein kann, 
oder das anstelle des LC-Displays einen Touchscreen aufweisen kann. Unter- 

io halb des Anzeigeelementes 25 sind sechs softwareprogrammierbare Tasten 24 
angeordnet, denen softwaremSssig verschiedene Funktionen zugeordnet wer- 
den konnen. Eine Starttaste 20 und eine Stopptaste 21 zum Starten und Stop- 
pen eines Maschinenprogrammes oder eines vorprogrammierten Programm- 
ablaufes erganzen die Bedienungselemente. Ein Trackpad 23 ist vorgesehen, 

1 5 um im Falle eines LC-Displays 25 einen Mauszeiger an eine bestimmte Stelle 
auf dem LC-Display zu positionieren, um anschliessend eine auf dem LC- 
Display angezeigte Funktion mit einer Ausfiihrungstaste 22 zu starten. 

LC-Displays weisen zur besseren Sichtbarmachung der Anzeige 
eine Hintergrundbeleuchtung auf. Diese besteht aus einer Kaltkathodenrohre, 
20 die eine relativ kurze Lebensdauer hat. Erfindungsgemass ist nun ein Nahe- 
rungsschalter 26 oder ein Bewegungsmelder 26 vorgesehen, der erst bei der 
Annaherung einer Bedienungsperson die Hintergrundbeleuchtung des LC-Dis- 
plays einschaltet Dadurch wird die Lebensdauer der Hintergrundbeleuchtung 
des LC-Displays erhoht. 

25 Im Falle, dass das Anzeigeelement ein Touchscreen 25 ist, sind der 

Trackpad 23 und die Ausfiihrungstaste 22 nicht notwendig. Eine bestimmte 
Funktion bzw. ein bestimmter Programmteil werden beim Touchscreen dadurch 
gestartet, dass die Schirmoberflache von der Bedienungsperson an einer be- 
stimmten, vordefmierten Stelie beruhrt wird. Das Mensch/Maschinen-lnterface 

30 kann im weiteren einen Tastaturanschluss 39 aufweisen, der zum Anschliessen 
beispielsweise einer PC-Tastatur bestimmt ist, womit bestimmte Parameter 
oder Initialisierungsdaten dem Steuergerat 1 eingegeben werden konnen. 
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Ebenfalls kann ein Infrarotinterface 27 vorgesehen sein, urn kontakt- 
los eine Datenubertragung vom Steuergerat 1 zu einem weiteren, nicht darge- 
stellten Germ mit einer aquivalenten Infrarotschnittstelle zu ubertragen oder 
umgekehrt. 



5 Im Innern des Gehauses 18 des elektronischen Steuergerates 1 ist 

ein erster Hardwareblock 2 (Fig. 2) untergebracht, der baugruppenweise auf- 
gebaut ist und verschiedene Baugruppen umfasst. Mindestens ein zweiter 
Hardwareblock 8, vorzugsweise eine Datentragerkarte mit dem Format einer 
PC-Karte (PCMCIA) kann Ciber eine Offnung 28 mit dem ersten Hardwareblock 
to 2 steckverbunden werden. Weitere Offnungen 28 kdnnen zum Ein- und Aus- 
stecken von weiteren zwei Hardwareblocks 8, 9 vorgesehen sein. 

Mit dem Bezugszeichen 33 ist eine erste Schnittstelle gezeigt, vor- 
zugsweise ein Steckeranschluss, der zum elektrischen Verbinden einer in den 
Figuren nicht sichtbaren, mit dem Steuergerat 1 zu steuernden Anlage be- 
!5 stimmt ist. Eine zweite Schnittstelle 34, vorzugsweise ebenfalls als Stecker 
ausgebildet, dientzum Verbinden des elektronischen Steuergerates 1 mit wei- 
teren elektronischen Steuergeraten zum Herstellen eines Multiprozessorsyste- 
mes. 



In der Fig. 2 ist das erfindungsgemasse Steuergerat 1 blockschalt- 
20 bildmassig dargestellt. Es umfasst im wesentlichen den bereits erwahnten, im 
Gehause 18 eingebauten ersten Hardwareblock 2 sowie mindestens einen 
oder mehrere zweite Hardwareblocks 8, 9, die iiber Steckverbindungen 10, 1 1 
mit dem ersten Hardwareblock 2 verbunden werden kdnnen. 

Der erste Hardwareblock 2 ist baugruppenweise aufgebaut und um- 
25 fasst verschiedene Peripheriebaugruppen 37. wie eine Echtzeituhr, eine LC- 
Anzeige, ein interface fur einen Touchscreen, ein Interface zum Anschluss ei- 
ner Tastatur, eine Feldbusschnittstelle, einen Analog/Digital-Konverter, einen 
Digital/Analog-Konverter, ein Akustiksystem, serielle und parallele Schnittstel- 
len sowie digitale Ein- und Ausgange. Diese Aufzahlung ist nicht vollstandig 
30 oder abschliessend. Je nach Anwendung des Steuergerates kdnnen einzelne 
Baugruppen weggelassen sein oder es kdnnen andere, vorstehend nicht ge- 
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nannte Peripheriebaugruppen eingesetzt werden. Jede Peripheriebaugruppe ist 
uber ein Bussystem 4, bestehend aus mindestens einem Adressbus 6, einem 
Datenbus 5 und einem Steuerbus 7, in bekannter Weise mit dem Mikrorechner- 
baustein 3 verbunden. In einer speziellen Einheit 40 (Gluelogic) werden die 
5 notigen Signalaufbereitungen wie Chipselects und Interruptrequests vorge- 
nommen. Es gibt Mikroprozessoren, die diese spezielle Einheit 40 bereits inte- 
griert haben. In diesem Fall musste sie nicht mehr extern aufgebaut werden. 

Wie bereits gesagt, weist das Bussystem 4 einen Adressbus 6, einen 
Datenbus 5 und einen Steuerbus 7 auf. Die Datenubertragung zwischen dem 

10 Mikroprozessor 3, auf der Grundplatine des ersten Hardwareblocks 2 vorhan- 
denen Bausteinen 35, 36, einer Peripheriebaugruppe 37 Oder den zweiten 
Hardwareblocks 8, 9 geschieht in bekannter Art wie folgt: An den gewunschten 
Baustein 35, 36 oder die gewunschte Peripheriebaugruppe 37 wird durch den 
Mikroprozessor 3 eine bestimmte Adresse angelegt, womit der Baustein oder 

15 die Peripheriebaugruppe selektioniert wird. Mittels den Signalen auf dem Steu- 
erbus werden nun Daten in beiden Richtungen zwischen dem selektierten 
Baustein oder der ausgewahlten Peripheriebaugruppe und dem Mikroprozessor 
uber den Datenbus ausgetauscht. Der Steuerbus 7 fuhrt im Blockschaltbild 
durch die spezielle Einheit 40, die Gluelogic, hindurch. Teils werden darin 

20 Signale direkt durchgefuhrt oder Signale des Steuerbuses zur Erzeugung wei- 
terer Steuerbussignale benutzt. Die Funktionsweise der Gluelogic 40 ist be- 
kannt und wird deshalb hier nicht weiter ausgefuhrt. Weitere vorhandene Bau- 
gruppen 29, 30 werden nicht mit Adressen, sondern direkt uber den Baustein 
35 (digitaler EIN/AUS-Baustein) angesprochen. Dies uber diskrete Leitungen. 

25 Im Blockschaltbild der Fig. 2 ist das Interruptsystem uber eine wei- 

tere eigene Busverbindung 41 gefuhrt Die Gluelogic 40, an welche der Inter- 
ruptbus 41 angeschlossen ist, dekodiert aus verschiedenen Quellen einen In- 
terruptrequest und leitet diesen im geeigneten Format an den Mikroprozessor 3 
weiter. 

30 Ein Watchdogsystem ist ubersichtlichkeits- und einfachheitshalber 

ganzlich aus dem Blockschaltbild weggelassen worden. Ein solches System 
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darf ebenfalls als bekannt vorausgesetzt werden. Fur ein industriell anwendba- 
res Steuergerat ist es absolut notwendig. 

Die bis jetzt beschriebene Hardware entspricht den ubiicherweise 
eingesetzten Mikroprozessorsystemen zur Steuerung von Geraten und Ma- 
5 schinen. Auf eine genauere Beschreibung wird deshalb verzichtet. 

Zu den vorbeschriebenen, allgemein ublichen Hardwarebaugruppen 
gesellen sich weitere Baugruppen, die fur das hier beschriebene, erfindungs- 
gemasse elektronische Steuergerat neu und charakteristisch sind. Es sind dies 
die zweiten Hardwareblocks 8, 9, die als PC-Karten aufgebaut sind und als 
io Datentragerkarten im wesentlichen nur Speicherelemente 12, 13, 14, 15, 16 
umfassen. 

Im weiteren sind auf der Grundplatine des ersten Hardwareblocks 2 
ein Uberwachungsstromkreis 29 zum Uberwachen, ob die zweiten Hard- 
wareblocks 8, 9, eingesteckt Oder zu irgend einem Zeitpunkt gewechselt wor- 

15 den sind, vorgesehen sowie ein weiterer Uberwachungsstromkreis 30 zum 
Uberwachen der richtigen Spannungsversorgung, insbesondere der zweiten 
Hardwareblocks 8, 9. Zusatzlich ist ein Paritygenerator-Baustein 36 vorhanden, 
der, wie spater beschrieben wird, zum Feststellen von korrupten Daten dient. 
Hardwareidentifikationsstromkreise 38 in jeder herausnehmbaren Baugruppe, 

20 zum Feststellen, ob alle die notwendigen, vorgesehenen Baugruppen 

vorhanden sind und dem geforderten Typ entsprechen, erhohen weiter die 
Betriebssicherheit des erfmdungsgemassen elektronischen Steuergerates. 

Im folgenden werden die zuletzt genannten Baugruppen und Bau- 
steine genauer beschrieben. 

25 Die zweiten Hardwareblocks 8, 9, die vorzugsweise im PC-Karten- 

Format (PCMCIA) aufgebaut und in einem PC-Karten-Gehause untergebracht 
sind, sind im vorliegenden Ausftihrungsbeispiel als Datentragerkarten konzipiert 
und umfassen im wesentlichen die Speicherelemente 12, 13, 14, 15 und 16. 
Das Speicherelement 12 ist dabei als RAM-Speicher konzipiert, die Speicher- 

30 elemente 13, 16 als nicht fluchtige EEPROM-Speicher Oder Flash-Memory und 
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die Speicherelemente 14, 15 sind wiederum als RAM-Speicher aufgebaut. Im 
weiteren umfasst jeder zweite Hardwareblock 8 t 9 einen Identifikationsstrom- 
kreis 38 f der wie vorgangig bereits kurz erwahnt, Identifikationsdaten enthait, 
mit denen feststellbar ist, ob der richtige zweite Hardwareblock 8, 9 an der rich- 
5 tigen Stelle mit dern ersten Hardwareblock 2 verbunden ist. Im weiteren um- 
fasst jeder zweite Hardwareblock 8, 9 einen eigenen Spannungsversor- 
gungsstromkreis 17, in welchem ein Pufferelement zum vorubergehenden Er- 
halten der in den RAM-Speichern 12, 14, 15 abgespeicherten Daten bei her- 
ausgezogenem zweiten Hardwareblock 8, 9 bestimmt ist. Das Pufferelement 
10 kann dabei ein Kondensator, eine Batterie Oder ein Akkumulator sein. Bevor- 
zugt wird eine Batterie eingesetzt. Diese gewahrleistet eine Datenerhaltung 
uber eine langere Zeitdauer t so dass zweite Hardwareblocks problemlos vom 
Lieferanten an einen Kunden gesandt werden konnen, ohne dass dabei ein 
Datenverlust auftritt. 

is Typisch und vorteilhaft fur das erfindungsgemasse elektronische 

Steuergerat ist, dass die zweiten Hardwareblocks 8, 9, die Datentragerkarten, 
uber Verbindungsstecker 10, 11, welche PC-Karten-Norm-Stecker sein konnen, 
direkt an das Bussysten des Mikrorechners 3 des ersten Hardwareblocks 2 an- 
geschlossen sind. Im ersten Hardwareblock 2 selbst werden im wesentlichen 

20 keine Speicherelemente bendtigt. Die Software, die Boot- und Anwenderpro- 
gramme, Parameter, Initial- und andere Daten, sind vollstandig in den Spei- 
cherelementen des einen zweiten Hardwareblocks 8 enthalten, wobei samtli- 
cher Programmcode vorzugsweise im Flashmemory 13, also in einem nicht 
flCichtigen Speicherelement untergebracht ist. Da die zweiten Hardwareblocks 

25 8, 9 ohne Interface direkt mit dem Bussystem 4 des Mikrorechners 3 verbunden 
sind, ist ein Aufstarten des Steuergerates ab einem der zweiten Hardwa- 
reblocks 8 moglich. Dies mit den eingangs erwahnten Vorteilen. 

Beim ersten zweiten Hardwareblock 8, der im dargestellten Beispiel 
eine Bootkarte darstellt, sind beim gemischten Aufbau der Speicherelemente 
30 aus Flash-Memory oder EE-PROM und RAM vorzugsweise nebst dem Pro- 
grammcode diejenigen Daten, die zur Zeit der Programmierung bereits bekannt 
sind, im EE-PROM oder Flash-Memory untergebracht, wahrend im RAM die 
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Daten abgespeichert werden, die wahrend dem Betrieb des Steuergerates ge- 
neriert werden. 

Bei Einhaltung der korrekten Speisespannungen auf der Bootkarte 
kann garantiert werden, dass die gleiche Karte mit einem anderen Steuergerat 
5 sowohl mit dem gleichen Programmcode wie auch mit den gleichen Run-Time- 
Daten weiteriauft. 

Vorteilhafterweise ist neben der Bootkarte 8 ein zweiter zweiter 
Hardwareblock 9 vorhanden, die sogenannte Backupkarte. Diese wird uber 
eine zweite Offnung 28 in das Gehause 18 des Steuergerates eingesteckt und 
mit dem Stecker 1 1 mit dem ersten Hardwareblock 2 verbunden. Die Backup- 
karte ist genau gleich aufgebaut wie die Bootkarte und ist dazu bestimmt, dass 
entweder auf Bedienerwunsch zu einem bestimmten Zeitpunkt ein Abbild der 
Inhalte der verschiedenen Speicherelemente 12, 13, 14, 15, 16 der Bootkarte 8 
auf den identischen Speichereiementen 12, 13, 14, 15, 16 der Backupkarte 9 
erstellt werden kann. Alternativ dazu kann aber auch permanent ein Speicher- 
Abbild erstellt und mitgefuhrt werden. Wahrend des Betriebes des Steuergera- 
tes werden in diesem letzteren Fall bei jedem Schreibzyklus des Mikrorechners 
3 beide Karten 8, 9 simultan beschrieben. Gelesen wird jeweils nur von der 
Bootkarte 8. In bestimmten, vorzugebenden Intervallen kann ein augenblickli- 
cher Vergleich der beiden Karten 8, 9 durchgefuhrt werden. Im Fehlerfall kann 
eine Warnung, beispielsweise ein akustisches oder optisches Signal, ausgege- 
ben werden. 

Wie bereits vorgangig erwahnt, umfasst jede Hardwarebaugruppe, 
welche nicht fest mit der Grundplatine, des ersten Hardwareblocks 2 verbunden 
ist, einen Identifikationsstromkreis 38. Dieser weist im wesentlichen ein nicht 
fluchtiges Speicherelement, beispielsweise ein EE-PROM auf, in welchem eine 
Baugruppennummer, eine Serienummer, ein Fabrikationsdatum und Kalibrati- 
onsdaten bzw. je nach Baugruppe weitere Daten eingeschrieben sind. Mit den 
Identifikationsdaten lasst sich die Hardwarebaugruppe eindeutig identifizieren. 
Eine vollstandige Riickverfolgbarkeit der Hardwareteile ist gegeben. Die einzel- 
nen Identifikationsstromkreise 38 sind mit einem eigenen Bus 42, dem Identifi- 
kationsbus, miteinander verbunden und enden auf dem Baustein digital Ein/Aus 
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35, uber welchen die Identifikationsdaten dereinzelnen Baugruppen 2, 8, 9, 37 
vom Mikrorechner 3 abgerufen und weiter verarbeitet werden konnen. Die 
Identifikationsdaten der einzelnen Baugruppen werden bei der Herstellung 
festgelegt und test einprogramrniert. Es kann zur Erhohung der Datensicherheit 
5 zusatzlich auch mit Checksummen gearbeitet werden. Das Identifikationssy- 
stem basiert auf einer einzigen Adresse, die fest vorgegeben ist und die fur alle 
Varianten von ersten Hardwareblocks 2, zu denen die zweiten Hardwareblocks 
8, 9 passen sollen, die selbe sein muss. Diese Adresse ist diejenige des Bau- 
steines digital Ein/Aus 35. Uber diesen Baustein findet die Software Zugang 
10 zum Identifikationssystem. Die Adresse des genannten Bausteines ist das Tor 
zur Beschreibung der Hardwarekonfiguration. Durch dieses Tor konnen alle 
zugeschalteten Hardwarebausteine via Identifikationsbus 42 angesprochen 
werden. 

Alle zusteckbaren Hardwarebaugruppen 8, 9, 37 und die Grundpla- 

15 tine des ersten Hardwareblockes 2 erhalten nach der Fabrikation eine eindeu- 
tige Typenidentifikation. Damit ist es der Anwendersoftware moglich, durch Ab- 
frage aller vorhandenen Identifikationsstromkreise 38 die gesarnte Hardware- 
konfiguration zu erkennen. Der erste Identifikationsstromkreis 38 ist bei Defini- 
tion immer der Identifikationsstromkreis 38 der Grundplatine des ersten Hard- 

20 wareblockes 2. In diesem Stromkreis stehen z.B. in Form einer Liste samtliche 
Adressen bzw. Chipselecteinstellungen der auf der Grundplatine vorhandenen 
Steckpiatze fur die Hardwarebaugruppen 8, 9, 37 sowie die zugehorigen Identi- 
fikationsstromkreisadressen. Durch Ansprechen der Identifikationsstrom- 
kreisadressen kann von der Software herausgefunden werden, wo welche zu- 

25 satzliche Hardware eingesteckt ist. Nach dem Einlesen samtlicher Identifikati- 
onsbausteine ist der Software die Konfiguration der vorliegenden Hardware 
vollstandig bekannt Sie kann damit auch herausfinden, ob sie selbst uberhaupt 
zu der gefundenen Hardwarekonfiguration passt. Sie findet auch heraus, ob 
eine Baugruppe zwischenzeitlich ausgetauscht worden ist, namlich dann, wenn 

30 bei jedem Bootvorgang die aktuellen Identifikationsdaten in einem der Spei- 
cherelemente 12 eines der zweiten Hardwareblocks 8, 9 abgespeichert werden. 

Zur Erhohung der Datensicherheit sind Datenspeicherbereiche in 
den zweiten Hardwareblocks 8, 9 mit zusatzlichen Speicherelementen 14, 15, 
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16 zum Abspeichern von Paritybits ausgerustet. Diese werden im Baustein 
Paritybitgenerator 36 erzeugt. Fur Datenworte aus dem Flashspeicher 13 des 
zweiten Hardwareblocks 8 erfolgt die Parityerzeugung uber jeweils 16 Bit und 
fur den RAM-Speicher 12 des zweiten Hardwareblocks 8 uber 8 Bit bzw. byte- 
5 weise, da dieser Speicher auch byteweise geschrieben und gelesen werden 
kann. 

Beijedem Buszyklus, derauf die Speicherelemente 12, 13zugreift, 
wird ein Paritybit pro Byte bzw. pro Word generiert. Bei einem Schreibzyklus 
wird das Paritybit in den entsprechenden Parityspeicher 14, 15, 16 geschrie- 
io ben. Bei einem Lesezyklus wird das vorhandene, an der entsprechenden 

Adresse abgespeicherte Paritybit mit dem neu generierten verglichen. Im Feh- 
lerfall wird ein Signal erzeugt, das den Fehler speichert und ein Parityfehler- 
signal 43 auslost. 

Der Paritygenerator 36 ist mit einem zusatzlichen Zwischenspeicher 
1 5 ausgerustet, urn einen doppelten Parityfehler zu erkennen. Damit ist es mbg- 
lich, im Falle eines einfachen Fehlers per Software herauszufinden, in welchem 
Speicherbereich der Fehler liegt. Ein einfacher Fehler liegt dann vor, wenn z.B. 
ein einziges Bit seinen Zustand unerlaubterweise wechselt oder wenn derjenige 
Bereich, in dem die Software fur die Untersuchung und Anzeige des Parityfeh- 
20 lers liegt, nicht von Fehlern betroffen ist. Bei einem doppelten Parityfehler muss 
ein Reset ausgelost und beibehalten werden. In diesem Fall muss namlich da- 
von ausgegangen werden, dass im Speicherbereich weder ein lauffahiger Pro- 
grarnmcode noch konsistente Daten vorhanden sind. Der doppelte Parityfehler 
56 muss durch Aus- und Wiedereinschalten des Steuergerates 1 geloscht wer- 
25 den. Behoben werden kann der doppelte Parityfehler aber nur durch Einsatz 
eines neuen entsprechenden Hardwareblocks bzw. einer neuen Bootkarte 8. 
Dazu kann beispielsweise die Backupkarte 9 verwendet werden. 

Um die Funktionssicherheit des erfindungsgemassen Steuergerates 
weiter zu erhohen, ist der Uberwachungsstromkreis 29 vorhanden, welcher ins- 
30 besondere zum Erkennen eines Wechsels eines der zweiten Hardwareblocks 
8, 9 wahrend des Betriebes oder ausserhalb des Betriebes des Steuergerates 
1 bestimmt ist. Die Aufgabe des Uberwachungsstromkreises 29 ist es, genauer 
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ausgedriickt, jederzeit zu erkennen, ob ein zweiter Hardwareblock, in unserern 
Beispiel die Bootkarte 8, oder die Backupkarte 9 vorhanden sind, ob eine oder 
beide dieser Karten aus- und wiedereingesteckt oder gewechseft worden sind 
und ob diese Karten uber eine korrekte eigene Versorgungsspannung verfu- 
5 gen. 

Der Uberwachungsstromkreis 29 wird einerseits uber die Software 
und andererseits durch Signale 57, 58 (Boot-Karte ausgesteckt, Backupkarte 
ausgesteckt), 59, 60 (Uberwachung der Boot-Karten-Spannung bzw. Backup- 
karten-Spannung) derzweiten Hardwareblocks 8, 9 gesteuert. Die Signale ge- 

10 langen vom Uberwachungsstromkreis 29 uber Signalleitungen 48, 49 (Boot- 
Karte 8 gewechselt, Backup-Karte 9 gewechselt) 50, 51 (Information Span- 
nungsversorgung Boot-Karte bzw. Backup-Karte) uber den digitalen Ein/Aus- 
Baustein 35 zur Weiterverarbeitung in den Mikrorechner 3. Mit digitalen Aus- 
gangen des digitalen Ein/Aus-Bausteines 35 kann der Uberwachungsstrom- 

15 kreis per Software im Bedarfsfalle uber Leitungen 44, 45 (Rucksetzsignat Boot- 
Karte gewechselt bzw. Backup-Karte gewechselt) zuruckgestellt werden. 

Ein Wechsel eines oder mehrerer der zweiten Hardwareblocks 8, 9, 
insbesondere der Boot-Karte 8, soil nur im ausgeschalteten Zustand des Steu- 
ergerates erfolgen. Das Ausziehen der Boot-Karte wird mit einem Signal 57 

20 (Boot-Karte nicht eingesteckt) erkannt. Der Uberwachungsstromkreis 29 meldet 
dieses Ereignis uber ein Signal 46 (keine Bootkarte) dem weiteren Uberwa- 
chungsstromkreis 30, welcher ein Rucksetzsignat 32 auslost. Solange keine 
Bootkarte 8 eingesteckt ist, kann der weitere Uberwachungsstromkreis 30 das 
Rucksetzsignal 32 nicht freigeben. Deshalb wird das Steuergerat 1 ohne Boot- 

25 Karte 8 nie aufstarten. 

Der Uberwachungsstromkreis 29 meldet eine ausgesteckte Boot- 
Karte 8 oder Backup-Karte 9 uber die Signalleitungen 48, 49 dem digitalen 
EIN/AUS-Stromkreis 35. Der Zustand der beiden Signale auf den genannten 
Leitungen bleibt im Uberwachungsstromkreis 29 gespeichert. Eine Ruckset- 
30 zung der genannten Signale auf den Leitungen 48, 49 erfolgt uber die Signale 
44,45. 
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Da der Uberwachungsstromkreis 29 einen Wechsel der Karten 8, 9 
auch im ausgeschalteten Zustand erkennen und speichern muss, ist im ersten 
Hardwareblock 2 eine Systembatterie 47 vorhanden, die auch den Uberwa- 
chungsstromkreis 29 uber eine der Leitungen 31 (5 VRT) mit Spannung ver- 
5 sorgt. 

Wenn im ausgeschalteten Zustand des Steuergerates 1 die Span- 
nung der Systembatterie 47 zu tief ist, konnen die Uberwachungsstromkreise 
29, 30 nicht mehr korrekt arbeiten. Der Zustand der Systembatterie 47 wird 
vom weiteren Uberwachungsstromkreis 30 uberwacht Im Fehlerfalle wechselt 

10 ein Signal 52 seinen Pegel. Beim Wiedereinsetzen einer neuen Batterie muss 
das genannte Signal 52 verzogert wieder auf den ursprunglichen Pegeln wech- 
seln. Bei diesem Pegelwechsel werden die Signale 48, 49 auf TRUE gesetzt 
und der Zustand der Batterien 17 der Boot-Karte 8 und der Backup-Karte 9 mit 
den Signalen 50 und 51 festgehalten. Dazu werden die Spannungen der Boot- 

is karte 8 und der Backup-Karte 9 uber die Signalleitungen 59, 60 (Spannung der 
Bootkarte 8 bzw. Spannung der Backupkarte 9) durch den Uberwa- 
chungsstromkreis 29 gemessen. 

Die Signale 48, 49 (Bootkarte gewechselt, Backupkarte gewechselt) 
werden gesetzt, wenn ein Kartenwechsel vorgenommen wurde. Bei jedem Kar- 

20 tenwechsel wird automatisch eine Messung der Batterie 17 der betreffenden 
Karte 8, 9 durchgefuhrt. Urn die Batterie nicht unndtig lange zu belasten, erfolgt 
die Messung nur wahrend einer kurzen Zeit. Deshalb zeigen nach einem Boot- 
vorgang die Signale 50, 51 den Zustand der entsprechenden Kartenbatterie 17 
zum Zeitpunkt des Wechsels einer der Karten 8, 9 an. Solange die Karten 8, 9 

25 eingesteckt sind, wird die Spannungsversorgung von der Systembatterie 47 
uber die Leitungen 31 ubernommen. Durch das Setzen eines Signales 61 
(Kartenspannung messen) kann der Mikrorechnerbaustein 3 uber den digitalen 
EIN/AUS-Baustein 35 eine Messung des Zustandes der Batterien 17 der zwei- 
ten Hardwareblocke 8, 9 verlangen. Die Signale 50, 51 werden dann entspre- 

30 chend gesetzt und bleiben gespeichert 

Der weitere Uberwachungsstromkreis 30 ist das letzte Glied in der 
Sicherungskette des erfindungsgemassen Steuergerates. Dieser Baustein urn- 
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fasst die Erzeugung der Versorgungsspannung (5 V) und die Spannung fur die 
nicht fliichtige Datenspeicherung (5 VRT), die Generierung des Rucksetzsigna- 
les 32 und eines Rucksetzsignales 52 fur den Uberwachungsstromkreis 29. Der 
Baustein 30 enthait im weiteren eine Batteriespannungsuberwachungseinheit. 

5 Im ausgeschalteten Zustand uberwacht der weitere Oberwachungsstromkreis 
30 die Spannung der Systembatterie 47 dauernd. Geht die Spannung verloren, 
d.h., sinkt der Spannungspegel unter einen Minimalwert, so wird nach dem 
Wiederherstellen der korrekten Spannung ein Signal 65 (Batteriefehler) bei 
ausgeschaltetem Gerat als wahr erhalten bleiben, bis es von der Software uber 

io ein weiteres Signal 64 (Riicksetzen Batteriefehler) zuruckgesetzt wird. Im ein- 
geschalteten Zustand des Steuergerates 1 kann per Software uber eine Leitung 

62 (Messung der Batteriespannung) eine Messung der Systembatteriespan- 
nung ausgelost werden. Das Resultat gelangt uber eine weitere Signalleitung 

63 (Batteriespannung ok) in den digitalen EIN/AUS-Stromkreis und kann dort 
1 5 per Software abgelesen werden. Die Messung dauert nur kurze Zeit, urn die 

Systembatterie 47 entsprechend zu schonen. 

Solange das Signal 46 (keine Bootkarte) aktiv ist, bleibt das Ruck- 
setzsignal 32 aktiv und gleichzeitig wird ein Ausgang 53 fataler Systemfehler 
gesetzt und ein akustisches oder optisches Warnsignal 54 ausgelost. 

20 In der Fig. 3 ist gezeigt, wie mehrere Steuergerate 1 uber die einge- 

bauten zweiten Schnittstellen 34, an welchen je der Adressbus 6, der Datenbus 
5 und der Steuerbus 7 des Bussystemes 4 anliegen, miteinander uber ein Multi- 
Port-RAM 55 zu einem Multiprozessorsystem verbunden werden konnen. Diese 
Verbindungsart ist bekannt und braucht deshalb hier nicht weiter beschrieben 

25 zu werden. 

Das erfindungsgemasse Steuergerat 1 muss mit einer speziellen 
Prozedur aufgestartet (gebootet) werden. Dies kommt daher, dass die korrekte 
Funktionsweise uber eine Kette von verschiedenen Oberwachungs- oder Si- 
cherheitsstromkreisen 29, 30, 35, 36, 37, 38 gesichert wird. Das Aufstarten des 
30 Gerates kann grab in zwei Schritte unterteilt werden. 
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Ein erster Bootschritt ist im Flussdiagramm der Fig. 4 dargestellt. Er 
beruht auf der Erkennung einer Bootkarte 8 und dem Nichtauftreten eines dop- 
pelten Parityfehlers. Um einen Parityfehier uberhaupt erkennen zu konnen, 
muss aber die Software zuerst aufgestartet werden. Nach dem Aufstarten wird 
5 die Hardware von der Software wie vorgangig beschrieben uberprCift D.h., es 
wird unter Zuhilfenahme der vorbestimmten und festgelegten Adresse des digi- 
taien Ein/Aus-Bausteines 36 kontroliiert, ob die Karten 8, 9 nicht gewechselt 
worden sind und ob die Batteriespannungen genugend gross sind. Falls etwas 
nicht in Ordnung ist, wird automatisch ein Bedienerdialog eingeschaltet und auf 
i o der Anzeigeeinheit 25 angezeigt. 

In einem zweiten Bootschritt, der im Flussdiagramm der Fig. 5 dar- 
gestellt ist, wird uberpruft, ob die Software in der vorhandenen Bootkarte 8 zur 
erkannten und uberpruften Hardwarekonfiguration passt. Dies geschieht durch 
die Abfrage samtlicher Identifikationsstromkreise 38 des Systemes. 

15 Herzstuck des erfindungsgemassen Steuergerates 1 ist die Boot- 

karte 8. Um das Steuergerat uberhaupt betreiben zu konnen, muss eine konsi- 
stente Bootkarte vorhanden sein. Die Bootkarte muss einen ausfiihrbaren Pro- 
grammcode mit korrekt gesetzten Parity im angesprochenen Speicherbereich 
13, 14, 15, 16 (Flash-Speicher, Parity-Speicher) enthalten. Dies kann nur da- 

20 durch erreicht werden, dass die Bootkarte noch wahrend des Herstellungspro- 
zesses zu allererst mit einem Bootprogramm beschrieben wird. Bei der Be- 
schreibung wird automatisch das Parity fur alle beschriebenen Speicherplatze 
zum erstenmal gesetzt. Bei einem nachfolgenden Lesen wahrend des Betrie- 
bes der Karte kann somit kein Parityfehier mehr auflreten, ausser bei einem 

25 Defekt des Speichers. Eine auf diese Art hochgefahrene Bootkarte gilt als kon- 
sistent. Mit ihr kann das System gebootet werden. Wahrend des normaien Be- 
triebes wird automatisch mit jedem gespeicherten Wort das Paritybit vom Pari- 
tygenerator 36 online generiert und abgespeichert bzw. mit dem vorhandenen 
Parity verg lichen. 

30 
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Patentanspruche 



1. Elektronisches Steuergerat (1), mit einem ersten Harclwareblock 
(2) mit einem Mikrorechner (3), der zusammen mit einem Softwareprogramm 

5 arbeitet, mit einem Bussystem (4) mit mindestens einem Adressbus (6), Daten- 
bus (5) und einem Steuerbus (7), dadurch gekennzeichnet, dass mindestens 
ein zweiter Hardwareblock (8, 9) vorhanden ist, der iiber eine losbare elektri- 
sche Verbindung (10, 11) mit dem ersten Hardwareblock (2) zusammenschalt- 
bar ist, dass der mindestens eine zweite Hardwareblock (8, 9) elektronische 

io Speicherelemente (12, 13, 14, 15, 16) enthalt, wobei im zusammengeschalte- 
ten Zustand der beiden Hardwareblocks (2, 8, 9) die Speicherelemente (12, 13, 
14, 15, 16) des mindestens einen zweiten Hardwareblocks (8, 9) unmittelbar an 
das Bussystem (4) des ersten Hardwareblocks (2) geschaltet sind und dass 
das gesamte Softwareprogramm fur den Mikrorechner (3) vollstandig in den 

15 Speicherelementen (12, 13) des mindestens einen zweiten Hardwareblocks (8, 
9) enthalten ist. 

2. Steuergerat nach Anspruch 1, dadurch gekennzeichnet, dass der 
mindestens eine zweite Hardwareblock eine Datentragerkarte (8, 9) ist, dessen 
Abmessungen dem PC-Card-Format (PCMCIA) entspricht. 

20 3. Steuergerat nach Anspruch 1 oder 2, dadurch gekennzeichnet, 

dass mindestens ein Teil der Speicherelemente (12, 14, 15, 16) des zweiten 
Hardwareblocks (8, 9) mit einem Pufferelement (17) gepuffert sind, wobei das 
Pufferelement eine Batterie, ein Akkumulator oder ein Kondensator ist. 

4. Steuergerat nach einem der Anspruche 1 bis 3, dadurch gekenn- 
25 zeichnet, dass der erste Hardwareblock (2) von einem metallenen Gehause 
(18), vorzugsweise aus Aluminium, im wesentlichen vollstandig umgeben ist, 
wobei eine Seite des Gehauses (18) als Frontplatine (19) ausgebildet ist, auf 
welcher Bedienungselemente (20, 21, 22, 23, 24) und mindestens ein Anzei- 
geelement (25) angeordnet sind. 
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5. Steuergerat nach Anspruch 4, dadurch gekennzeichnet, dass das 
Anzeigeelement ein LC-Display (25) ist, dass zum Bewegen eines Mauszeigers 
auf dem LC-Display ein Trackpad (23) vorhanden ist und dass zum Auslosen 
einer Funktion, auf die der Mauszeiger gerichtet ist, eine Ausfiihrungstaste (22) 

5 vorhanden ist. 

6. Steuergerat nach Anspruch 4 oder 5, dadurch gekennzeichnet, 
dass auf der Frontplatine (19) ein Naherungsschalter (26) vorhanden ist, der 
bei der unmittelbaren Anwesenheit einer Person zum Einschaiten einer Hinter- 
grundbeleuchtung des Anzeigeelementes (25) bestimmt ist. 

io 7. Steuergerat nach Anspruch 4, dadurch gekennzeichnet, dass das 

Anzeigeelement ein Touch-Screen (25) ist, bei dem zum Auslosen einer Funk- 
tion ein bestimmter, entsprechend gekennzeichneter Bereich der Screenober- 
flache vom Bediener des Steuergerates beruhrt wird. 

8. Steuergerat nach einem der Anspruche 4 bis 7, dadurch gekenn- 
15 zeichnet, dass auf der Frontplatine (19) ein Infrarot-lnterface (27) angeordnet 

ist, das zum kontaktlosen Ubertragen von Daten von und zu einem dritten 
Hardwareblock bestimmt ist. 

9. Steuergerat nach einem der Anspruche 4 bis 8, dadurch gekenn- 
zeichnet, dass fur jeden zweiten Hardwareblock (8, 9) eine Offnung (28) im 

20 Gehause (18) vorhanden ist, durch welche einer der zweiten Hardwarebiocks 
(8, 9) mit dem ersten Hardwareblock (2) insbesondere uber eine Steckeranord- 
nung (10, 11) verbindbar ist. 

10. Steuergerat nach einem der Anspruche 1 bis 9, dadurch ge- 
kennzeichnet, dass mindestens einer der zweiten Hardwarebiocks (8, 9) einen 

25 Speicher (14, 15, 16) umfasst, in welchem eine byte- oder wordweise Abspei- 
cherung eines Parity-Bits pro Byte oder Word eines Datenspeicherbereiches 
(12) und/oder eines Programmspeicherbereiches (13) des entsprechenden 
zweiten Hardwarebiocks (8, 9) vorgesehen ist. 
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11. Steuergerat nach einem der Anspruche 1 bis 10, dadurch ge- 
kennzeichnet, dass mindestens einer der zweiten Hardwareblocks (8, 9) einen 
energieunabhangigen, nicht fliichtigen Speicher (13, 38) umfasst, in welchem 
Daten zur eindeutigen Identifikation des entsprechenden zweiten Hard- 

5 wareblocks (8, 9) vorhanden sind. 

12. Steuergerat nach einem der Anspruche 2 bis 1 1 , dadurch ge- 
kennzeichnet, dass einer der zweiten Hardwareblocks (8) eine Boot-Karte und 
ein anderer der zweiten Hardwareblocks (9) eine Backup-Karte ist, wobei auf 
der Backup-Karte (9) entweder auf Bedienerwunsch ein Abbild des oder der 

io Speicherelemente (12, 13, 14, 15, 16) der Boot-Karte (8) erstellt werden kann, 
oder dass ein Abbild bei jeder Speicherinhaltsanderung der Boot-Karte (8) 
permanent mitgefuhrt wird. 

13. Steuergerat nach einem der Anspruche 1 bis 12, dadurch ge- 
kennzeichnet, dass im ersten Hardwareblock (2) ein Uberwachungsstromkreis 

is (29) zum Erkennen eines Wechsels eines der zweiten Hardwareblocks (8, 9) 
vorhanden ist und dass der Uberwachungsstromkreis (29) ebenfalls zum Er- 
kennen einer korrekten oder unkorrekten Speisespannungsversorgung der 
zweiten Hardwareblocks (2) bestimmt ist. 

14. Steuergerat nach einem der Anspruche 1 bis 13, dadurch ge- 
20 kennzeichnet, dass ein weiterer Uberwachungsstromkreis (30) zum Erzeugen 

und Uberwachen der Speisespannungen (31) fur die zweiten Hardwareblocks 
(8, 9) vorhanden ist, wobei dieser Stromkreis (30) bei einer fehlerhaften Spei- 
sespannung (31) ein Rucksetzsignal (32) zum Rucksetzen in einen Ausgangs- 
zustand des ersten Hardwareblocks (2) und des zweiten Hardwareblocks (8, 9) 
25 bestimmt ist. 

15. Steuergerat nach einem der Anspruche 1 bis 14, dadurch ge- 
kennzeichnet, das der erste Hardwareblock (2) eine erste Schnittstelle (33) 
aufweist, uber welche das Steuergerat mit einer zu steuernden Anlage verbind- 
bar ist. 
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16. Steuergerat nach einem der Anspruche 1 bis 15, dadurch ge- 
kennzeichnet, dass der erste Hardwareblock (2) eine zweite Schnittstelle (34) 
aufweist, welche zum Erstellen eines Multiprozessorsystemes mit zweiten 
Schnittstellen (34) von weiteren ersten Hard wareb locks (2) anderer Steuerge- 

5 rate (1) zusammenschaltbar ist. 

17. Steuergerat nach einem der Anspruche 1 bis 16, dadurch ge- 
kennzeichnet, dass der erste Hardwareblock (2) baugruppenweise aufgebaut 
ist, wobei in jeder Baugruppe (2, 37) je ein Identifikationsstromkreis (38) vor- 
handen ist und wobei jeder zweite Hardwareblock (8, 9) ebenfalls als Bau- 

io gruppe zu betrachten ist und einen Identifikationsstromkreis (38) aufweist, dass 
beim Aufstarten ( Booten) des Steuergerates (1) in einem ersten Schritt anhand 
der Identifikationsstromkreise (38) in den zweiten Hardwareblocks (8, 9) die 
Kontrolle erfolgt ob einer der zweiten Hardwareblocks (8, 9) gewechselt worden 
ist, ob alle die zum voraus festgelegten Baugruppen (2, 8. 9, 37) vorhanden 

i 5 sind und dass in einem zweiten Schritt die Kontrolle erfolgt, ob die Software in 
mindestens einer der vorhandenen zweiten Hardwareblocks (8, 9) zu den vor- 
handenen Baugruppen (2, 8, 9, 37) passt. 
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